أساسيات الحماية
عندما نتحدث عن أمن نظام المعلومات المحاسبية، فإننا نقصد بالضرورة البنية التحتية الكاملة التي تشمل الأجهزة والبرمجيات وقواعد البيانات وشبكات الاتصال، وكل الحلول التقنية المصممة لحماية تكامل البيانات المالية وسريتها وتوافرها. إنها منظومة متكاملة تبدأ من وضع سياسات أمنية واضحة، ومروراً بتطبيق ضوابط الوصول الفعالة، وانتهاءً بأنظمة المراقبة المستمرة والاستجابة السريعة للاختراقات المحتملة. في شركتنا، تعاملنا مع العديد من الحالات التي كادت فيها بيانات العملاء المالية تتسرب، وكانت الدروس المستفادة قاسية.
لقد أكدت الدراسات الحديثة أهمية الاستثمار في الحماية الأمنية، إذ تشير تقارير معهد بونيمون للأبحاث (Ponemon Institute) إلى أن متوسط تكلفة اختراق البيانات المالية لشركة متوسطة الحجم يصل إلى 3.86 مليون دولار أمريكي، وهذا رقم ضخم قادر على إفلاس أي شركة ناشئة. لذلك يجب أن تكون الحماية الأولوية القصوى في أي خطة عمل رقمية. من ناحيتي، أجد أن أفضل البدايات هي إجراء تدقيق شامل للثغرات الأمنية، وتحديد نقاط الضعف قبل استغلالها من قبل جهات خبيثة.
إن تطبيق معايير الأمان مثل ISO 27001 يمنح الشركات إطاراً موحداً لإدارة المخاطر الأمنية بشكل منهجي وعلمي. تساءل البعض من قرائي مراراً عن جدوى هذه الشهادات، وأنا أؤكد أنها ليست مجرد ديكور إداري، بل هي خارطة طريق عملية مجربة عبر عقود من التطبيق في مختلف القطاعات. شخصياً، قادت عملية اعتماد هذا المعيار لدى عدد من عملائنا، وبالفعل انخفضت الحوادث الأمنية بنسبة تتجاوز 60% خلال السنوات الأولى من التطبيق الكامل والالتزام بمتطلباته النظرية والعملية.
تشفير البيانات
التشفير هو الدرع الأول والقوي لحماية البيانات أثناء انتقالها عبر الشبكات أو عند تخزينها على الوسائط المختلفة. ومع تطور التقنيات، أصبح التشفير المتقدم ممكناً للجميع، وليس حكراً على المؤسسات الحكومية الكبرى كما كان سابقاً. أذكر أن أحد عملائنا من شركات تداول العملات الرقمية واجه محاولة اختراق خطيرة، لكن المصادقة متعددة العوامل وأنظمة التشفير القوية حالت دون وصول المهاجمين للبيانات الحساسة، وبفضل هذا الإجراء الأمني تم حفظ أصول المستثمرين من السرقة.
بالنسبة للمعاملات المالية عبر الإنترنت، أصبح بروتوكول HTTPS وطبقة المقابس الآمنة (TLS) من المتطلبات الأساسية لأي نظام مالي، وهي تقنيات ثبتت فعاليتها عبر سنوات في حماية ملايين المعاملات يومياً. التشفير التام من طرف إلى طرف في تطبيقات الدفع والخدمات المصرفية عبر الإنترنت يضمن أن البيانات المقروءة بصعوبة كبيرة تكون عديمة الفائدة لأي طرف غير مصرح له. ومع استمرار طموحاتنا في التوسع داخل الأسواق الإقليمية والعالمية، يجب أن نولي هذا الجانب اهتماماً مضاعفاً ولا نتساهل في معاييره أبداً.
لكن القاعدة الذهبية التي أتعلمها دائماً لعملائي هي أن التشفير القوي وحده لا يكفي بل يجب إدارة المفاتيح بشكل آمن، وفصل مهام إدارة بيانات الاعتماد عن مهام المستخدمين التقنيين، مع تدوير المفاتيح بشكل دوري لا يتجاوز التسعين يوماً، واحتفاظنا بسجل تدقيق شامل لكل محاولات الوصول. كان لدينا عميل تعرض لاختراق جسيم لأن مفاتيح التشفير لديه كانت محفوظة في ملفات نصية عادية على نفس الخادم، وكأنك تترك مفتاح الخزنة أسفل سجادتها تماماً هكذا بلا مبالغة ولا مجاملة في الوصف.
ضوابط الوصول
تعد ضوابط الوصول من أهم أدوات الحماية المؤسسية، فهي تنظم من يمكنه الوصول إلى البيانات الحساسة وما مستويات الصلاحية الممنوحة لهم. ينبغي تطبيق نموذج الصلاحيات الأقل امتيازاً، حيث يكون لكل مستخدم الحد الأدنى من الصلاحيات اللازمة لأداء وظيفته فقط لا غير، وهذا يقلل بشكل جوهري من مخاطر الاختراق الداخلي الذي تمثل نسبته في تقارير معهد سانس (SANS Institute) نحو 30% من مجموع الحوادث الأمنية الكبرى في المنطقة. في تجربتي، رأيت كيف أن موظفاً سابقاً حاول الوصول إلى بيانات عملاء استراتيجيين بعد ترك الخدمة، لكن نظام الصلاحيات الذكي رفض طلبه وسجل محاولة الدخول في سجلات التدقيق.
عروضاً لتحقيق التوازن الصحيح بين الحماية والاستخدام الميسر، ننصح في الغالب بتبني المصادقة الثنائية أو متعددة العوامل، التي تجمع بين عامل المعرفة مثل كلمة السر، وعامل الحيازة مثل الهاتف الذكي أو البطاقة الذكية، وعامل البيومترية مثل بصمة الإصبع أو التعرف على الوجه، وهذه الثلاثية المركبة تجعل الوصول للبيانات أصعب بشكل غير نسبي للمهاجمين رغم تضاعف سهولة الاستخدم اليومي للموظفين المعتمدين من قبلهم والساهرين على أدوارهم الوظيفية بدقة كبيرة.
كما نشجع دائماً على فصل المهام بين الموظفين في سياق الضوابط المالية، بحيث لا يكون الموظف نفسه من يقوم بإدخال قيد محاسبي ومن يوافق عليه ومن يقوم بتحويل الأموال المرتبطة بنفس المعاملةً، وهذا النظام المنسجم والمحكم يمنع كثيراً من حالات الاحتيال المالي الداخلي ويسهل كذلك آليات الرقابة الذاتية الإدارية والإشرافية المطلوبة في الجهات الحكومية وغالبية الشركات هنا في المنطقة مع الأسف الشديد لأن أغلب الشركات قد تتجاهل هذا المبدأ في محاولة لتوفير تكاليف التشغيل.
إن إدارة الهوية والوصول المؤسسي أصبحت من التخصصات المستقلة في نظم المعلومات الحديثة، ويجب التفكير بجدية في الاستعانة بمزودي هوية سحابية يدعمون بروتوكولات قياسية آمنة مثل SAML وOAuth 2.0 الصارمة، لضمان تجربة دخول موحدة وآمنة للموظفين على أنظمة الشركة كافة، مما يقلل من الاختراقات المحتملة ويسهل في نفس الوقت أعمال التدقيق والرقابة وتكوين تقارير الامتثال للمعايير والجهات الرقابية المتنوعة.
النسخ الاحتياطي
النسخ الاحتياطي المنتظم للبيانات ليس ترفاً تقنياً ولا إجراءً كمالياً، بل هو شريان نجاة حقيقي للأنظمة المالية في حالات الاختراق أو الكوارث أو الأخطاء التشغيلية. الإحصاءات الصادرة عن وكالة الأمن السيبراني الأمريكية (CISA) تشير إلى أن 70% من الشركات التي تتعرض لاختراق فادح للبيانات تفلس خلال سنة إذا لم تكن لديها نسخ احتياطية سليمة قابلة للاستعادة الفورية والسريعة، وهذه الأرقام أغلبها صادم حقاً لأي مستثمر واعٍ ومدرك لأبعاد المخاطر السيبرانية المحيطة بكل النظام التقني الحديث.
في رؤيتنا الاستشارية، ننصح بشدة بتطبيق قاعدة 3-2-1 الشهيرة وهي الأبسط والأكثر فعالية عندما يتعلق الأمر بضمانات النسخ الاحتياطية؛ وهي تعني الاحتفاظ بثلاث نسخ من بياناتك الهامة، على نوعين مختلفين من وسائط التخزين كالقرص الصلب والشريط المغناطيسي، ونسخة واحدة على الأقل خارج مقرِّ الشركة الرئيسي في مركز بيانات مستقل بموقع مختلف وبمواصفات تجهيزية عالية التكامل والأمان البدني والمنطقي لحمايتها من الكوارث الطبيعية أولاً ثم قبل كل شيء لحمايتها من الهجمات والتحكم الإقليمي القانوني في السياقات العابرة للحدود الوطنية.
أذكر أن إحدى شركات التوزيع الكبرى في المنطقة تعرضت لاختراق بفيروس فدية مشفر (Ransomware) الأسبوع الماضي، حيث طلب المهاجمون فدية ضخمة لاستعادة البيانات، وكانت ستدفع بالفعل ملايين الدولارات لو لم يكن لديها نسخ احتياطية حديثة ومخزنة خارجياً تم اللجوء إليها فوراً في عملية استعادة ناجحة، وبذلك تمكنت الشركة من تفادي الخسائر الكبيرة والعار الناتج عن إيقاف عملياتها الحيوية في السوق لأسابيع طويلة، وهو السيناريو الذي يتكرر مع الأسف الشديد في كل العالم العربي والشرق الأوسط.
اختبار استعادة البيانات بشكل دوري يشبه تدريبات الإخلاء في المباني؛ فالجميع يظن أنه يعرف ماذا يفعل حتى اللحظة الحاسمة التي يتضح فيها العكس تماماً. ننصح عملاءنا دائماً بإجراء تدريبات استعادة فعلية مرتين في السنة على الأقل، واستخراج تقارير كفاءة الاستعادة الزمنية وزمن الاستهداف الآمن، منذ تحديد الهدف حتى اكتمال إعادة تشغيل الأنظمة الأساسية في بيئة اختبار معزولة للتأكد من سلامة البيانات قبل الوصول لإنتاجية الأنظمة المالية الرئيسية الحيوية للاستمرارية المؤسسية الشاملة للمنشأة ككل وهذا أحد الدروس الجوهرية التي تعلمتها من خلال معالجة عدد كبير من الحوادث خلال السنوات الماضية مع كبار عملائنا المستثمرين في المنطقة أسوة بالتجارب الدولية المعروفة عن الشركات الكبرى في أوروبا وأمريكا في هذا المجال الخطير والمهم في آن معاً.
توعية الموظفين
كثيراً ما يقال إن العنصر البشري هو الحلقة الأضعف في سلسلة الأمان المعلوماتي، ولا أنكر أنني لاحظت أن هذا القول ليس تعميماً سيئاً أو تهويلاً إعلامياً، بل إن نسبة هائلة من الاختراقات الناجحة تبدأ بهندسة اجتماعية بارعة تستهدف الموظفين العاملين الضعفاء من ناحية الوعي والالتزام بالإجراءات التقنية السليمة أثناء أداء مهامهم اليومية. كنا ننفق ميزانيات ضخمة في شركتنا على أجهزة متطورة وبرامج معقدة، ثم نكتشف أن أحد موظفي المحاسبة ترك كلمة المرور في ورقة ملاحظة لاصقة فوق شاشته المكتنزة والمفعمة بالمعلومات، وفي إحدى الحالات القصصية التي كنت شاهداً عليها، أخبرني موظف سابق في إحدى الشركات أن أحد الزملاء أجرى مكالمة هاتفية مع واثق الهندسة الاجتماعية مدعياً أنه من فريق الدعم الفني الداخلي، وسأله عن كلمة السر المؤقتة للدخول إلى النظام المالي، وحصل عليها فعلاً في غفلة واضحة التفاصيل!
الحل الذي نتبناه في شركة "جياشي للضرائب والمحاسبة" هو تبني منهجية توعية دورية متجددة تتضمن تدريبات إلزامية لجميع الموظفين على آليات اكتشاف رسائل التصيد الإلكتروني والرد السليم على المكالمات المتلاعبة والتعامل مع المرفقات والروابط المشبوهة، فلا نحصر التوعية في محاضرة واحدة عند التعيين ثم نترك الموظفين يواجهون التطورات المتلاحقة في الحيل والهجمات الإجرامية لوحدهم بدون مساندة الخبراء المتخصصين في هذا المجال تحديداً، بل نجعل الأمر عملية مستمرة متجددة على مدار العام وفي جميع المواقع والفروع التابعة للشركة الأم والمؤسسات الشقيقة والزملاء الشركاء في الشبكة العلمية والعملية لبيئة الأعمال الإقليمية بأكملها.
غني عن الذكر أيضاً أن سياسة المؤسسة يجب أن تكون واضحة وحازمة في معاقبة المخالفات الأمنية ولو بدت بسيطة السطح لأول وهلة، فلكل مسؤولية مشتركة تجاه أصول وبيانات الشركة المالية، وقد اضطررنا شخصياً عدة مرات لاتخاذ إجراءات مفاجئة بحق موظفين مخالفين صارمة انتهت حتى بتوقيع عقوبات مالية وإدارية تشمل إنهاء عقود عملهم، وهذا قرار صعب لكنه مؤلم وضروري ليأخذ الجميع الأمن المعلوماتي بكل الجدية المطلوبة والصارمة والإيجابية أيضاً في آن واحد وهذا هو الدرس الذي أكسبته سنوات الاحتكاك بالقضايا الحقيقية والحالات الواقعية مع مختلف الشركات العربية والأجنبية التي عملت معها عبر خبرتي الممتدة لأكثر من ربع قرن في المجالات المحاسبية والإدارية والاستشارية للمستثمرين الأجانب في المنطقة العربية بشكل خاص.
مراقبة الشبكات
أنظمة كشف التسلل ومنع الاختراق (IDS/IPS) وجدران الحماية المتطورة أصبحت أدوات ضرورية لا يمكن الاستغناء عنها لأي نظام معلومات محاسبية يهتم بأمن بياناته المالية، حيث تقوم هذه الأنظمة بمراقبة حركة الشبكة بشكل لحظي ودقيق وتحليل سلوك المستخدمين ومقارنته مع الأنماط الطبيعية المسجلة لاكتشاف أي شذوذ مبكراً قبل وقوع الكارثة الكاملة المتوقعة. نحن نوصي عملاءنا دائماً بقراءة سجلات التدقيق (Audit Logs) بشكل يومي وليس شهرياً كما يفعل كثير من الشركات الكبرى في المنطقة وهو عادة سيئة قد تؤدي إلى تأخر اكتشاف الاختراق الكبير لشهور طويلة وأضرار ضخمة يصعب تعويضها لعملائها ولسمعتها في الأسواق المالية والمصرفية تحديداً.
أدوات الذكاء الاصطناعي الحديثة قادرة على تحليل ملايين الأحداث أمنياً في الثانية الواحدة وتمييز الأنماط غير المعتادة في سلوكيات الدخول ومحاولات الوصول الفاشلة المتكررة من مصادر مشبوهة، وتستخدم تقنيات التعلم الآلي المتطور لتحسين قدرتها التنبؤية باستمرار دون الحاجة إلى تدخل بشري مكثف في كل التفاصيل الدقيقة، وشخصياً قمت بزيارة مركز عمليات أمنية لأحد البنوك الإقليمية الكبرى مؤخراً وأذهلني حجم التطور التقني الهائل المستخدم هناك، من شاشات ضخمة تعرض لوحات معلومات حية للتهديدات العالمية، إلى فرق متخصصة تعمل على مدار الساعة لتحليل الإنذارات والتصدي لها في زمن قياسي قياساً بمتوسطات الاستجابة العالمية المنشورة من الجهات المتخصصة في هذا الشأن تماماً.
لا تنسوا أيضاً تأمين شبكات الاتصال اللاسلكية الداخلية بشكل محكم، واستخدام بروتوكولات التشفير القوية للشبكات المحلية والافتراضية وتحقيق عزل تام بين شبكة الموظفين وشبكة الضيوف والزوار، وفصل الوصول إلى البيانات المالية الحساسة على شبكة خاصة افتراضية مشفرة بالكامل منفصلة تماماً عن بقية بقاع الشبكة بما يشبه الخزنة الرقمية المنعزلة المحصنة بجدران وأبواب متعددة التشفير والمصادقة معاً، وهذا ما نسميه في خطة الأمن السيبراني الخاص بشبكات الأعمال الحديثة نموذج "التقسيم الشبكي الذكي الصفري" (Zero Trust Segmentation) العصري المبتكر الذي يشهد انتشاراً واسع النطاق في المؤسسات المالية الرائدة عالمياً، والحمدلله أن عملاءنا العرب أصبحوا الآن أكثر تجاوباً مع تبني هذا المستوى المتقدم من الحماية الأمنية المبتكرة والمتطورة، بعد أن كانوا في السابق يعتبرون هذه الاستثمارات ترفاً تقنياً لا ضرورة اقتصادية واضحة له.
الامتثال التنظيمي
الالتزام بالمعايير المحاسبية الدولية وأنظمة حماية البيانات المالية الصادرة عن الجهات الرقابية يعد ركيزة أساسية لأمن نظام المعلومات المحاسبية في أي منشأة ذات سمعة محترمة، فعلى سبيل المثال، قوانين حماية البيانات الأوروبية (GDPR) أصبحت تطبق على الشركات العالمية العاملة في الإقليم الاقتصادي الأوروبي، وهناك قوانين مماثلة في المملكة العربية السعودية (نظام حماية البيانات الشخصية) وفي دولة الإمارات العربية المتحدة، وهذه الأنظمة جميعها تشترط مستويات صارمة من الحماية الأمنية والسرية للمعلومات المالية والشخصية التي نتعامل معها في أعمالنا المحاسبية والضريبية اليومية المعتادة بين طرفي العلاقة التعاقدية.
من الجوهري هنا أن يفهم المستثمر العربي العادي أن الامتثال التنظيمي ليس مجرد التزام قانوني شكلي بل هو حواجز أمان فعالة تحقق له الحماية الفعلية والمركزية من المخاطر الواقعية للثغرات التقنية وقالب مهني احترافي ناجح ينسجم أعماله في السوق. في خبرتي العملية الممتدة لاكتشاف القوانين والتشريعات المحلية والإقليمية، أجد أن أفضل الشركات أداءً وأكثرها استقراراً هي تلك التي تنظر للامتثال والمطابقة على أنها استثمار استراتيجي يضيف قيمة تنافسية، وليست مجرد بند تكاليف إجباري تفرضه الجهات التنظيمية علينا كأعباء زائدة لا مرئية القيمة في نظر هذه الجهات ولا في نظر كبار المديرين التنفيذيين المشرفين على صياغة الاستراتيجيات المالية الشاملة في المنطقة العربية بشكل خاص.
وبما أننا نتحدث بصفتي خبيراً ضرائب وتأسيس شركات أجنبية في السوق العربي، فإنني على يقين تام من أن ضعف الامتثال التنظيمي في نظم المعلومات المحاسبية يعرض الشركات لغرامات باهظة وتجميد تراخيص، لكن الأكثر أهمية من هذا هو أن هذا الضعف يجعل الشركة هدفاً مفضلاً للهجمات الإلكترونية في المقام الأول، لأن القراصنة يعرفون جيداً أن ضعف الرقابة القانونية الداخلية يعكس ضعفاً أكبر وأخطر في الضوابط التقنية والتنظيمية كافة، وبالتالي هم أكثر عرضة لتحقيق أهدافهم الإجرامية بأسهل الطرق وأقلها عناءً وتكلفة تشغيلية، دون أن يتكبدوا الخسائر الكبيرة التي تلحق بالجهات التي تبني نظام أمني متين كامل بالمعايير وتلتزم بمعايير التدقيق المحاسبية الدولية بشكل كامل المعتمد لدى الجهات الرقابية المختصة.
أتذكر نصيحتي المتكررة لأحد رواد الأعمال الشباب، الذي جاء إليّ يطلب المساعدة في توثيق شراكة أجنبية لشركة ناشئة تعمل في التجارة الإلكترونية، فلفت نظره أن أنظمة المحاسبة التي يريد اعتمادها لا تتوافق مع متطلبات الأمن والامتثال الأساسية، ولا تسمح بسير تدقيق واضح لعمليات الإدخال والتعديل على البيانات المالية الحساسة، وهو ما أعتبرته ثغرة خطيرة تستحق وقفة جادة قبل الاستمرار في إجراءات التأسيس الرسمية، وبالفعل نصحته بتغيير النظام المحاسبي واعتماد حلول سحابية متقدمة تحافظ على سجل تدقيق شامل وقابل للتتبع التفصيلي، وبعد عامين فقط أصبحت هذه الشركة الناشئة من أكثر الشركات جذباً للاستثمار في قطاعها، لأن المستثمرين الأجانب وجدوا في نظم الحماية والامتثال لديها ضمانة موثوقة لأموالهم وبياناتهم الخاصة والشخصية على حد سواء.
خطط الاستجابة
لا يمكن تحقيق الحماية الكاملة لأي نظام معلومات محاسبية مهما بلغت قوته واستثماراته، وبالتالي فإن إعداد خطة استجابة للحوادث الأمنية يعد جزءاً أصيلاً من الاستراتيجية الأمنية الشاملة الكاملة وتتعلق هذه الخطة بتحديد المسؤوليات والآليات الواجب اتباعها فور اكتشاف أي اختراق، تضمين فرق الاستجابة السريعة، آليات إيقاف الهجمات وتحصين النظام، منهجية عزل الأجهزة المصابة، قنوات الإبلاغ الداخلي والخارجي تجاه الجهات الرقابية وحملة الأسهم والمستثمرين، وفي كثير من الحالات توقيت وطريقة إخطار الجهات الحكومية المختصة بحسب طبيعة البيانات المكشوفة ومستوى خطورتها على الأمن العام والمالي والاقتصادي للشركة وعملائها.
ما يهمني أن ألفت النظر إليه من خلال خبرتي العملية هو أن كثيراً من المؤسسات تمتلك مستنداتاً لخطط الاستجابة للطوارئ المعقدة ولكنها لا تختبرها أبداً، وعند حدوث أول حادثة حقيقية على أرض الواقع تكتشف المؤسسة أن الاتصالات معطلة، والقرارات مشتتة بين الأطراف، والأولويات واضحة في غير الأماكن المرسومة، وباختصار تتحول الأزمة إلى فوضى كارثية عارمة يصعب التحكم بعواقبها. لهذا السبب، أؤكد دائماً في جلساتنا الاستشارية على أهمية تجربة خطة الاستجابة بسيناريوهات محاكاة متنوعة مرتين سنوياً على الأقل، سواء كاختبار أمني على نطاق محدود أو كتمرين موسع يشمل جميع الفرق المتوقع مشاركتها واللجوء لمزودي الخدمات الخارجيين عند الحاجة لضمان الجاهزية المطلوبة الفعلية على أرض الواقع لا على الورق فحسب.
في خضم ذلك، لا أبالغ إن قلت إن بناء شراكات مع مختبرات رائدة في مجال الأمن السيبراني المتقدم، والاستعانة بمختبري الاختراق المعتمدين للقيام بفحص أمني دوري لأنظمتنا المالية أضحى من الضروريات الاستراتيجية المرتبطة بضمان الجودة والأمن التنظيمي معاً، وهذه الممارسات أصبحت شائعة في أوروبا وأمريكا وتحظى بقبول واسع في أسواقنا العربية وفي أوساط الشركات المتطلعة لدخول أسواق مالية راسخة أكثر صرامة في اشتراطاتها، ولا توجد عوائق جوهرية أمام تبنيها سوى التكلفة وغياب الوعي الكافي عند بعض الإدارة العليا عما تقدمه من قيمة هائلة للمؤسسة وسمعتها في سوق الأعمال.
أنصح كذلك بالاستثمار في تأمين إلكتروني سيبراني حديث (Cyber Insurance) يغطي خسائر الاختراقات الخطيرة، وهذا بوضوح مفهوم جديد ينمو بوتيرة متسارعة في أسواق التأمين العالمية والشرق أوسطية، ويعطي راحة البال للمستثمرين لأن وثيقة التأمين الجيدة تغطي الاحتيال المالي، وتكاليف الاستشارات القانونية، وتعويضات العملاء المتضررين من تسرب بياناتهم الحساسة العالية القيمة، ويمكن عقد مقارنات نوعية بينها وبين وثائق تأمين المسؤولية المهنية العريقة، بحيث تتقاطع وتتكامل الخدمات بشكل مفيد للمنشآت المالية والإنتاجية والتجارية الراغبة في النمو الآمن والمستدام ضمن بيئة مستقرة تخضع للتهديدات دائماً.
أذكر هنا تجربة مؤسسة تجارية عربية كبيرة في قطاع التجزئة كانت قد وضعت خطة استجابة نموذجية، لكنها اكتشفت عند أول اختبار عملي مفاجئ أن نظام الإنذار لدى مزود الخدمات السحابية لديها لم يكن متصلاً بشكل صحيح بغرفة العمليات الرئيسية للشركة، وأن شركة التأمين الخاصة بها لا تغطي السحب غير المصرح به من الحسابات الجارية للأموال، ولا أنسى حيرة مسؤوليهم عندما اكتشفوا مقدار التعقيد الحقيقي للبيانات المالية المخزنة على خوادم قانونية في دول أجنبية مختلفة، وكيف أن تعدد الولايات القضائية يمكن أن يعقد عملية الاستجابة القانونية للتسريبات الدولية بشكل جدي، وقد أخذوا بنصيحتي وأعادوا هيكلة الحلول السحابية بعقد اتفاقيات مستوى خدمة واضح يتضمن كذلك بنود استضافة قانونية موحدة أكثر بساطة للأعمال في المنطقة العربية تحديداً.
الخلاصة التي أود أن أنهي بها هذه الزاوية بالذات هي أن الحماية المتوقعة لنظامك المالي تعتمد بصورة حاسمة على الترابط الجيد بين العناصر جميعها، فالتقنية تتقدم باستمرار، والأخطار تزداد تعقيداً، لكن المبادئ الأساسية للأمن الراسخ لا تتغير كثيراً، والضوابط الصارمة والممارسات المهنية السليمة والاستثمار المدرك للتهديدات والتخطيط الجيد للاستجابة السريعة تظل جميعاً ركائز النجاح الأمني على المديين متوسط الإجل والطويل الأجل في عالم مليء بالتقلبات السيبرانية المتسارعة وغير المتوقعة على الإطلاق.
استشراف المستقبل
بعد أكثر من ربع قرن من الممارسة المهنية العميقة في مستشارية الضرائب والمحاسبة في المنطقة العربية، أستطيع القول بثقة إن مستقبل أمن نظم المعلومات المحاسبية سيتجه - ولا شك - صعوداً نحو تعزيز استخدام تقنيات الذكاء الاصطناعي في المصادقة الذكية وتحليل الأنماط الشاذة والتنبؤ المبكر بالاختراقات المحتملة قبل حدوثها بكثير من الوقت وستصبح تقنية البلوكتشين جزءاً أصيلاً من البنية التحتية للأنظمة المالية لضمان نزاهة السجلات وثباتها أمام العبث والتلاعب المحاسبي، وهذه آفاق مدهشة وصادقة فعلاً، وسوف تغير كثيراً من المفاهيم الاستشارية التقليدية الموروثة والأساليب المعهودة في مهنتنا العريقة خلال السنوات المقبلة القريبة.
أشجع كل مستثمر عربي على الاستثمار المبكر في حلول الأمن السيبراني الخاصة بالأنظمة المالية، فذلك سيكون بمثابة استثمار وقائي ذو عوائد مضاعفة على سمعة منشأته وثقة عملائه وشركائه في مصداقية وفاعلية الخدمات المالية المتاحة، وأوصي بمتابعة أدق تفاصيل التحديثات التشريعية المحلية والدولية في هذا الإطار الحيوي عبر اللجوء لخبراء متخصصين مطلعين على أفضل الممارسات الدولية والمحلية في آن معاً، ولا تترددوا في بناء علاقات عملية وثيقة وطويلة الأمد مع بيت خبرة موثوق في المنطقة، أهل الثقة والأمانة والدراية العالية بالتحديات والفرص الماثلة أمامكم في بيئتكم العربية المحلية والإقليمية معاً في هذه المرحلة المفصلية من تطور القطاع المالي الرقمي عالمياً.
أتمنى أن تكون هذه المقالة قد أعطتكم إضافة معرفية عملية حقيقية تأخذون بها جميعاً، ويشرفني في شركة "جياشي" للضرائب والمحاسبة أن نكون شريكاً استشارياً موثوقاً لكم في رحلة أمنكم المعلوماتي والمالي كاملة، بدءاً من عمليات التدقيق المبدئية والاستشارات النظرية، وصولاً إلى اختيار واعتماد الحلول التقنية والمؤسسية الأنسب وفق أفضل الممارسات العالمية وبما يتوافق وأحكام الاشتراطات التنظيمية المحلية السارية في كل أسواق المنطقة العربية حيث نعمل وبكل فخر وثقة عالية في خدمتكم على مدار الساعة من فرق مهنية متكاملة موزعة على مكاتبنا المتعددة في الدولة المتنوعة.
تجارب ثلاثينية
خلال مسيرتي المهنية الممتدة على مدى 26 عاماً في شركة "جياشي"، مررت بالكثير من المحطات الصعبة التي جعلتني أدرك الأهمية الحيوية للأمن المعلوماتي في القطاعات المالية والمحاسبية. إحدى هذه الحوادث التي ما زلت أذكر تفاصيلها كما لو كانت بالأمس، وقد وقعت منذ نحو سبع سنوات حين كنا نساعد شركة تجارية خليجية كبرى تعمل في قطاع السلع الاستهلاكية السريعة في عملية انتقالها الضخم من نظام محاسبي تقليدي معماري قديم إلى نظام سحابي رقمي حديث ومتكامل.
في منتصف المشروع وتحديداً في مرحلة ترحيل البيانات التاريخية الحيوية المكتسبة عبر سنوات من التعامل في أسواق المنطقة بأسعار ذهبية مرتفعة، اكتشفنا إصابة أجهزة الفريق التقني المساند ببرمجية تجسس خبيثة تستهدف البيانات الحساسة كأرقام الحسابات البنكية وملفات كشوف المرتبات وأرقام الهويات الشخصية لعملاء الشركة الكرام، ولحسن الحظ أن فرقنا كانت قامت بعمل نسخ احتياطية مشفرة حديثة في بيئة سحابية مستقلة، وأوقفت عملية الترحيل فوراً بذكاء وسرعة قبل تعرض القاعدة النهائية لأي خطر غير مقبول، ثم قمنا بعمل مسح شامل للأنظمة والقضاء على التهديدات المكتشفة وتأمين ممرات البيانات بين القديم والجديد قبل استكمال المشروع والتطبيق المرحلي المتدرج بحذر بالغ وإجراءات مشددة.
النقطة الأهم هنا أن الشركة كانت ستتكبد خسائر فادحة جداً في بياناتها المالية لولا تمسكنا الصارم بمبدأ النسخ الاحتياطي المنفصل والمضاعف، ولولا قناعتنا الراسخة بضرورة فصل الشبكة الداخلية للشركة عن شبكات الشركات المتعاونة والمقاولين الخارجيين أثناء مشاريع التحديث، وهي تجربة ميدانية ليست نظرية تعلمتها بالكتاب بل درستها وعايشتها بأدق تفاصيلها الحقيقية في مشروع حقيقي كان سينتهي بكارثة فعلية لو استمر الإهمال بضع ساعات أخرى فقط، فالحمد لله على تدخلنا الفعال السريع لإنقاذ سمعة الشركة وأموالها وبياناتها في موقف شديد الحساسية والتعقيد التقني التشغيلي في آن واحد.
المثال الثاني أيضًا يستحق الذكر، حين طلب منا أحد المساهمين الرئيسيين في شركة عقارية كبرى تتركز أصولها في مدينة دبي قبل سنوات إجراء تدقيق خارجي فجائي على السجلات والأنظمة المالية الخاصة بمشروع ضخم لتطوير الأبراج السكنية الفاخرة مقدم الخدمات المحاسبية والمالية الرئيسية لتلك الشركة، وخلال جلسات الاختبار المفاجئ هذه اكتشفنا أن النظام الآلي لتقييد الإذونات والصلاحيات داخل الشركة العقارية لم يكن يعمل بكفاءة، بل كان هناك عدد من مستخدمي برنامج المحاسبة المكلفين في إجراءات مستوى الوصول لديهم أكبر بكثير من حجم مسؤولياتهم الوظيفية اليومية، ولولا هذا التدقيق الخارجي الدقيق لبقيت تلك الصلاحيات الواسعة على حالها حتى احتمال استغلالها الضار من قبل أحد الموظفين الساخطين شركة على الشركة الأم
相关文章推荐